如何防范SQL注入攻击？

攻击者使用 Web 应用程序中的输入字段在服务器上运行任意查询（注入）。因此，攻击过程称为 SQL 注入或 SQLi 攻击。

他们可以访问不打算显示的信息。这些注入攻击被 OWASP Top 10 归类为“高影响严重性”。

是什么导致 SQLi？

SQLi 的根本原因通常是未能正确清理用户输入。当应用程序允许用户在未经适当验证的情况下输入 SQL 语句时，攻击者可以使用其他命令制作 SQL 查询。它会导致未经授权的访问、数据修改或其他恶意行为。

例如，攻击者可以通过编写始终返回 true 的 SQL 查询来使用 SQL 注入来绕过身份验证机制。它允许他们在没有有效用户名和密码的情况下登录。或者他们可以使用 SQL 注入来修改存储在数据库中的数据、窃取敏感数据或执行其他恶意操作。

下面是一个示例来说明 SQL 注入的工作原理：

假设我们有一个带有 SQL 数据库的网站来存储用户信息。该网站有一个登录表单，用户可以在其中输入用户名和密码。该网站的代码可能如下所示：

在这段代码中，用户的输入被直接插入到 SQL 语句中。如果用户输入用户名，如 admin'–，则 SQL 语句变为：

SELECT * FROM users WHERE username='admin'–' AND password=”

双破折号（–）是SQL中的注释符，表示忽略后面的所有内容。这允许攻击者绕过密码检查并以管理员身份登录。

攻击使用常见的 SQL 注入命令尝试 SQLi 的不同变体，以查看数据库执行了哪些命令。

基于此，他们不断执行 SQLi 攻击以访问所需的信息。他们可能会在收集到他们需要的东西后停止，或者继续回来执行他们的命令，直到这些漏洞存在。

基于错误的 SQL 注入

基于错误的 SQL 注入是一种攻击，恶意用户使用恶意 SQL 查询来获得某种错误或确认他们的输入存在问题。

它通常是关于数据库语法中的规则。然后他们可以使用这些信息从数据库中提取信息，例如密码或个人银行账户。

如何检测基于错误的 SQL 注入？

攻击者可以执行的 SQL 命令类型非常多，而且它们都非常难以预测。

以下是一些示例：单引号、双引号或 SQL 运算符，如 AND、OR 和 NOT

例如：

错误消息向攻击者致意：“你的 SQL 语法有错误；查看与您的 MySQL 服务器版本对应的手册，了解在 ''VALUE'' 附近使用的正确语法。

错误消息为他提供了重要信息，例如：

• 数据库用作MySQL
• 语法错误是双引号
• 导致错误的地方在参数的末尾

基于联合的 SQL 注入

在这种类型的 SQL 注入中，攻击者试图在“UNION”运算符的帮助下利用漏洞。

UNION 运算符用于组合 2 个表或同时执行 2 个选择查询。在联合运算符中，它们会删除我们尝试同时执行的重复行或列。

基于联合的 SQL 注入示例

假设我们有一个 Web 应用程序，它接受用户的输入并构建如下 SQL 查询：

用户输入没有经过适当的过滤，因此攻击者可以注入他们自己的 SQL 代码。例如，他们可以输入以下值作为他们的名字：

这将导致执行以下 SQL 查询：

注入字符串末尾的 — 是一个注释符号，它注释掉了原始查询的其余部分。因此，生成的查询将等效于：

此查询将返回一个包含用户名、电子邮件和电话号码的表，以及一个包含用户表中所有密码的表。然后，攻击者可以使用此信息进一步破坏系统。

SQL 盲注

Blind SQLi 是一种 SQL 注入攻击，攻击者利用 Web 应用程序中的漏洞从数据库中提取敏感信息，而无法直接查看数据。这种类型的攻击称为“盲”攻击，因为攻击者看不到实际的数据库内容。而是依赖于应用程序的响应来推断信息。

SQL 盲注攻击主要有两种类型：

1. 基于布尔的 SQLi
2. 基于时间的 SQLi

基于布尔的 SQLi

在这种类型的 SQL 注入攻击中，攻击者发送一系列 SQL 查询，根据注入的代码是否成功执行来评估 true 或 false。然后，攻击者可以使用应用程序的响应，通过构建复杂的查询来探测特定信息，从而推断出有关数据库的信息。

基于布尔的 SQLi 示例：使用基于布尔的 SQLi 删除用户数据库

它是如何工作的：一个常见的在线商店的 SQL 数据库查询可能是这样的：

因此，在线商店中的产品 URL 可以是

http://www.exampleshop.com/items/items.asp?itemid=999 或 1=1。

SQL查询可以是

一永远等于一。这只是一个基本的数学事实，无论您身在何处都适用。SQL 查询返回数据库中的所有产品名称和描述，即使是那些您无权访问的产品。

基于时间的 SQLi

这种攻击涉及注入一个旨在导致应用程序响应延迟的查询。通过测量应用程序响应查询所需的时间，攻击者可以确定查询是否成功。当攻击者没有来自应用程序的答案（错误/输出），因为输入验证已被清理时，此技术很有用。

基于时间的 SQL 注入示例

例如，假设 Web 应用程序上有一个登录表单，它使用 SQL 查询来检查用户的凭据是否有效。查询可能看起来像这样：

要执行盲目 SQLi 攻击，攻击者可以注入如下查询：

如果条件“1=1”为真，此查询将使应用程序休眠 10 秒。攻击者可以通过测量应用程序响应此查询所花费的时间来确定条件是真还是假。

如果响应需要 10 秒，则攻击者知道条件为真，应用程序容易受到盲目 SQLi 的攻击。如果响应是立即的，攻击者就知道条件是错误的。一旦攻击者确认盲 SQLi 是可能的，他们就可以开始注入更复杂的查询以从数据库中提取敏感信息。

• 自动扫描：机器人可以被编程为自动扫描许多网站，寻找可以被 SQL 注入攻击利用的漏洞。一旦识别出易受攻击的网站，机器人就可以尝试使用一组预定义的 SQL 注入有效负载来利用该漏洞。
• 暴力攻击：机器人也可用于对 Web 表单（例如登录页面或搜索框）进行暴力攻击，以尝试将 SQL 代码注入应用程序。机器人可以使用不同的技术（例如字典攻击或模糊测试）来生成不同的有效负载并将它们提交给应用程序以找到易受攻击的入口点。
• 自动利用：一旦确定易受攻击的入口点，机器人就可以自动注入恶意 SQL 代码并从数据库中提取数据。

僵尸程序可以使用不同的技术，例如 SQL 盲注或基于错误的 SQL 注入，从数据库中提取敏感数据。总的来说，机器人可用于自动化识别和大规模利用 SQL 注入漏洞的过程。它使攻击者更容易破坏许多网站并提取敏感数据。这就是为什么实施适当的安全措施以防止 SQL 注入攻击很重要的原因。

• 窃取敏感数据：攻击者可以使用 SQL 注入从数据库中提取敏感数据，例如用户名、密码、信用卡号或个人信息。
• 修改或删除数据：攻击者可以使用SQL注入修改或删除数据库中的数据，从而导致数据丢失或损坏。
• 控制系统：攻击者可以使用 SQL 注入获得管理访问权限，从而允许他们执行进一步的攻击、安装恶意软件或将系统用于恶意目的。

SQL 注入攻击的潜在成本甚至更高。经济损失可能是直接的经济损失，例如遭受攻击后恢复系统和数据的成本。间接损失包括因业务运营中断而造成的收入损失。此外，企业还可能因注入攻击导致的数据泄露而面临经济处罚或法律诉讼。这尤其会损害处理敏感信息的企业，例如金融机构或医疗保健提供者。

此外，声誉受损可能是长期的且难以恢复，从而对公司未来的增长和盈利能力产生负面影响。常见的 SQL 注入攻击会导致知识丢失或拒绝访问。然而，多年来，黑客将这些攻击与不充分的身份验证、DNS 劫持、XSS 和DDoS 攻击相结合，造成了巨大的经济损失和绝对主机接管。停机会导致收入损失和客户失望，进一步损害企业声誉。

• Heartland Payment Systems：  2010 年 3 月，Albert Gonzalez 被判处 20 年徒刑。他将自己的代码安装到 Heartland Payment Systems 的信用卡服务器中，并窃取了 1.3 亿个信用卡号码。该公司的攻击成本约为 1200 万美元。
• 索尼 PlayStation 网络黑客攻击：  2011 年，索尼 PlayStation 网络 (PSN) 遭到黑客攻击，导致 7700 万用户的个人信息丢失。据报道，这次黑客攻击是 SQL 注入攻击的结果。攻击者能够访问敏感信息，例如用户姓名、地址和信用卡号。
• Yahoo Hack：  2012 年 7 月，雅虎语音用户的 453,000 个电子邮件地址和密码被泄露。凭据以未加密的方式存储。黑客通过执行 SQL 注入攻击窃取了数据。
• Target 数据泄露：  2013 年，Target Corporation 成为大规模数据泄露的受害者，影响了 4000 万客户。专家声称服务器受到了 SQL 注入攻击。
• Drupal SQL 注入：  2014 年 10 月，Drupal 宣布其高度易受攻击。缺乏用户输入清理导致 SQL 注入漏洞。从 7.0 到 7.31 的 Drupal 核心版本容易受到攻击。
• Kaseye 勒索软件攻击：  2021 年 7 月，一个名为 REvil 的臭名昭著的组织影响了 Kaseya 管理的 1500 多家企业。黑客远程利用了 Kaseya VSA 服务器的 SQL 漏洞。
• WooCommerce 未经身份验证的 SQL 注入：  2021 年 7 月，WooCommerce 披露其多个功能插件和软件版本存在 SQL 注入漏洞；他们注意到在那段时间发生了几次安全攻击。